ClawShield

AIエージェント向けセキュリティプロキシ。 OpenClaw の前面に配置され、モデルに到達する前・ネットワークから送出される前に、すべてのメッセージをプロンプトインジェクション、PII漏えい、シークレットの観点でスキャンします。

5つの特化型AIエージェント、組み込みダッシュボード、YAMLポリシーエンジンを同梱。起動は1コマンドです。

┌──────────────┐     ┌──────────────────┐     ┌──────────────┐
│   Browser    │────▶│  ClawShield      │────▶│   OpenClaw   │
│   (you)      │◀────│  Security Proxy  │◀────│   Gateway    │
└──────────────┘     └──────────────────┘     └──────────────┘
                      ▪ Prompt injection       ▪ Claude, GPT,
                        detection                LM Studio
                      ▪ PII/secrets redaction  ▪ Multi-agent
                      ▪ Policy enforcement       routing
                      ▪ Audit logging          ▪ RAG knowledge

クイックスタート（Docker）

前提条件: Docker と Anthropic APIキー。

# 1. Clone the repo
git clone https://github.com/SleuthCo/clawshield-public.git
cd clawshield-public

# 2. Set your API key
cp standalone/.env.template standalone/.env
# Edit standalone/.env and paste your Anthropic API key

# 3. Start
cd standalone
docker compose up -d

ブラウザで http://localhost:18801 を開いてください。チャット可能な5つのAIエージェントを備えたClawShieldダッシュボードが表示されます。

これで完了です。ClawShieldがあなたとエージェント間のすべてのトラフィックをスキャンします。

Anthropic APIキーの取得

ClawShieldはデフォルトの言語モデルとして（AnthropicのAPI経由で）Claudeを使用します。キーの取得方法は次のとおりです：

1. console.anthropic.com にアクセスしてサインアップ（またはログイン）します
2. 左サイドバーの API Keys をクリックします
3. Create Key をクリックします
4. 名前を入力し（例: "clawshield"）、Create をクリックします
5. キー（sk-ant- で始まります）をコピーします
6. それを standalone/.env ファイルに貼り付けます：
   root@kitploit:~

   ANTHROPIC_API_KEY=sk-ant-your-key-here
   

料金: Anthropicはトークン単位で課金されます。一般的なチャットセッションは数セント程度です。新規アカウントには$5分の無料クレジットが付与されます。詳細は anthropic.com/pricing をご覧ください。

別のモデルを使う場合: ClawShieldは任意のOpenAI互換API（GPT、LM Studio、Ollamaなど）で動作します。standalone/config/openclaw.json を編集して、お好みのプロバイダーを指定してください。

インストールオプション

オプション 1: Docker（推奨）

すべてが単一コンテナで動作します — ClawShieldプロキシ + OpenClawゲートウェイ + 5つのエージェント。

上記の クイックスタート を参照してください。

オプション 2: プリビルドバイナリ

GitHub Releases から最新リリースをダウンロードします：

次に、対話型セットアップウィザードを実行します：

# Download the setup wizard too
chmod +x clawshield-setup-*

# Run the wizard — it walks you through everything
./clawshield-setup-linux-amd64

ウィザードは次のことを行います：

• Anthropic APIキーを尋ねます
• エージェントを設定します
• OpenClaw設定を生成します
• 起動/停止スクリプトを作成します

オプション 3: ソースからビルド

Go 1.24+ が必要です。

git clone https://github.com/SleuthCo/clawshield-public.git
cd clawshield-public

# Build the proxy
cd proxy/cmd/clawshield-proxy
go build -o clawshield-proxy

# Build the setup wizard
cd ../../clawshield-setup
go build -o clawshield-setup

# Run setup
./clawshield-setup

同梱内容

可観測性

ClawShieldはリアルタイム監視のためのPrometheus互換の /metrics エンドポイントを公開します：

curl http://localhost:18789/metrics

主なメトリクス：

• clawshield_requests_total — 評価されたリクエストの総数
• clawshield_decisions_allowed_total / _denied_total / _redacted_total — 判定結果
• clawshield_scanner_detections_total{scanner,action} — スキャナータイプ別の検出数
• clawshield_evaluation_duration_seconds — 評価レイテンシのヒストグラム
• clawshield_active_connections — 現在のWebSocket接続数
• clawshield_crosslayer_events_* — クロスレイヤーイベントバスのアクティビティ

セキュリティプロキシ

ClawShieldの中核です。ユーザーとAIゲートウェイ間のすべてのトラフィックを傍受するHTTPリバースプロキシです。

スキャナー（それぞれがルールIDとマスクされたマッチ箇所の抜粋を含む構造化フォレンジック監査記録を生成します）：

• プロンプトインジェクション検出 — ジェイルブレイク試行、命令の上書き、ロール操作をブロックします
• PIIマスキング — メールアドレス、電話番号、SSN、クレジットカードを検出してマスキングします
• シークレット検出 — APIキー、トークン、パスワードが漏えいする前に捕捉します
• 脆弱性スキャン — SQLインジェクション、SSRF、パストラバーサル、コマンドインジェクション、XSSを検出します
• マルウェア分析 — 実行ファイル、スクリプト、アーカイブ爆弾、既知のシグネチャを検出します

本番強化（レイヤー3）：

• Python/BCC依存を置き換えるGoネイティブのeBPFモニター — 単一のコンパイル済みバイナリ
• グレースフルデグラデーション：eBPFが利用できない場合（CAP_BPFなし、古いカーネル、コンテナ）に/procポーリングへ自動フォールバック
• ヘルスチェックシステム：3つの防御レイヤーすべてについてレイヤー別ステータス（healthy/degraded/down）を報告
• イベントパイプラインの信頼性：損失カウント、バックプレッシャーロギング、公開/ドロップされたイベントのメトリクス
• ファイアウォールルールの動的DNS再解決 — CDN IPがローテーションしても古いルールが残らないようにします
• 起動時のケイパビリティ検出：カーネルバージョン、BTFサポート、root/CAP_BPFチェック

ポリシーのホットリロード：

• ファイル監視ベースのホットリロード — policy.yaml を変更すると5秒以内に反映され、再起動は不要
• コンテンツハッシュによるバージョニング — ポリシーバージョンごとにSHA256ベースのバージョンIDが生成され、監査ログに記録されます
• シャドウ/カナリアモード — 新しいポリシーを適用前にログのみのモードでテスト
• ポリシー差分 — リロードのたびに変更内容（許可リストの追加、スキャナーのオン/オフなど）を正確にログ記録
• アトミックスワップ — 処理中のリクエストは旧ポリシーを継続し、新しいリクエストには新ポリシーを使用

ストリーミングレスポンスのスキャン：

• SSEおよびNDJSONストリームをチャンク単位でリアルタイムスキャン — バッファリングによる遅延なし
• スライディングオーバーラップウィンドウ（200文字）でチャンク境界をまたぐパターンを検出
• リクエストからレスポンスへのコンテキスト引き継ぎで誤検知を低減（例：コード生成レスポンスにはスクリプトパターンが含まれ得る）
• ストリーミング出力におけるシークレットとPIIのチャンク単位マスキング

ポリシーエンジン — YAMLベース、デフォルト拒否：

default_action: deny

scanners:
  prompt_injection:
    enabled: true
    action: block
  pii:
    enabled: true
    action: redact
  secrets:
    enabled: true
    action: block

domain_allowlist:
  - "api.anthropic.com"
  - "api.openai.com"

その他の例については policy/examples/ を参照してください。

5つのAIエージェント

各エージェントは専門化された役割と独自のRAG知識ベースを持ちます：

監査ログ

すべてのリクエストとレスポンスは、以下の情報とともにローカルSQLiteデータベースに記録されます：

• タイムスタンプ、送信元IP、リクエストメソッド
• スキャナーの判定結果（許可/ブロック/マスキング）と理由
• 判定の説明可能性 — どのスキャナーが発火したか、どのルールがマッチしたか、安全にマスクされたマッチ箇所の抜粋、信頼度を含む、すべての拒否/マスキング判定における構造化フォレンジック詳細
• リクエスト/レスポンスの完全なペイロード（設定可能）
• 内蔵の監査CLIでクエリを実行：

clawshield-audit --db /var/lib/clawshield/audit.db --last 50
clawshield-audit --db /var/lib/clawshield/audit.db --blocked-only
clawshield-audit --db /var/lib/clawshield/audit.db --scanner injection
clawshield-audit --db /var/lib/clawshield/audit.db --rule-id sqli

docs/audit-log-format.md で完全なスキーマを、判定の説明可能性 でフォレンジッククエリの詳細を参照してください。

SIEM統合：

• CriticalおよびHigh重大度イベントをエンタープライズSIEMシステムへリアルタイム転送
• ユニバーサルなSIEM互換のための OCSF v1.1 Detection Finding形式
• Syslog（TCP/TLS上のRFC 5424）およびWebhook（HTTPS POST）トランスポート
• 設定可能な重大度しきい値 — デフォルトではHigh（4）とCritical（5）のアラートのみ転送
• 設定については docs/audit-log-format.md を参照

ネットワークファイアウォール（オプション）

エージェントが到達できるドメイン/IPを制限するiptablesベースのegressファイアウォール：

cd firewall/cmd/clawshield-fw && go build -o clawshield-fw
sudo ./clawshield-fw apply --config firewall/examples/firewall.yaml

eBPFモニター（オプション）

不審なエージェントの動作を検出するためのカーネルレベルsyscall監視：

sudo python3 ebpf/cmd/clawshield-ebpf/main.py --config ebpf/config/default.yaml

検出対象：fork爆弾、機密ファイルへのアクセス、権限昇格、異常なネットワーク接続。

アーキテクチャ

ClawShieldは**多層防御（defense-in-depth）**を採用しています — クロスレイヤーイベントバスで接続された3つのセキュリティレイヤー：

Layer 1: Application (ClawShield Proxy)
  ▪ Scans message content
  ▪ Enforces YAML policies
  ▪ Logs all decisions

Layer 2: Network (ClawShield Firewall)
  ▪ iptables egress rules
  ▪ Domain/IP allowlist
  ▪ Blocks unapproved connections
  ▪ Dynamic temporary rules from cross-layer events

Layer 3: Kernel (ClawShield eBPF)
  ▪ Syscall monitoring
  ▪ Behavioral anomaly detection
  ▪ Real-time alerts

各レイヤーは独立して動作します。1つが迂回されても、他のレイヤーが引き続き保護します。

クロスレイヤーイベントバス

3つのレイヤーはUnixソケットベースのイベントバスを介して通信し、レイヤー間での適応型セキュリティレスポンスを可能にします：

┌──────────────┐                          ┌──────────────┐
│  eBPF        │──── Unix Socket ────────▶│  Proxy       │
│  (Layer 3)   │  /tmp/clawshield-       │  (Layer 1)   │
│  Produces:   │   events.sock           │  Produces:   │
│  • privesc   │                          │  • injection │
│  • port_scan │◀── Adaptive Controller ──│  • malware   │
│  • file_access│                         │  • vuln_scan │
└──────────────┘                          └──────────────┘
                         │
                         ▼
                ┌──────────────┐
                │  Firewall    │
                │  (Layer 2)   │
                │  Consumes:   │
                │  • temp block│
                │    rules     │
                └──────────────┘

適応型リアクションの例：

ポリシーYAMLに adaptive セクションを追加することでクロスレイヤー統合を有効にできます。完全な例については policy/examples/adaptive_crosslayer.yaml を参照してください。

本番デプロイ

TLSを使用して実サーバーにデプロイする場合は、docs/install-guide.md を参照してください。

deploy/ ディレクトリには以下が含まれます：

• cloud-init.yaml — 強化されたVMプロビジョニング（SSHロックダウン、fail2ban、nftables、auditd）
• docker-compose.yml — nginx TLS終端を備えた本番用フルスタック
• nginx/conf.d/ — レート制限、セキュリティヘッダー、WebSocketプロキシを備えた本番用nginx設定
• deploy.sh — 自動デプロイスクリプト
• smoke-test.sh — デプロイ後の検証

設定

環境変数

ファイル

テスト

# Unit tests
go test ./proxy/...
go test ./firewall/...

# Integration tests
go test ./integration/...

コントリビューション

Issueとプルリクエストは github.com/SleuthCo/clawshield-public で受け付けています。

ライセンス

Apache 2.0

謝辞

OpenClaw 上に構築。AIエージェントコンテキストに適用された従来のネットワークセキュリティアーキテクチャに着想を得ています。